Jeśli padłeś ofiarą oszustwa, to bank będzie ci musiał zwrócić pieniądze. Z jednym wyjątkiem

Ataki phishingowe wszelkiego rodzaju stały się już właściwie elementem codzienności. Przestępcy czyhają na nas w różnych miejscach i na różne sposoby. Podszywają się pod znane firmy, instytucje państwowe oraz banki — co kilka tygodni w skrzynkach Polaków ląduje nowe oszustwo na klientów mBanku czy innej dużej instytucji finansowej. Reklamują się w mediach społecznościowych, wydzwaniają do niczego niepodejrzewających ofiar. Sztuczna inteligencja na usługach hakerów jest dziś standardem, a nie technologiczną ciekawostką.

Jeżeli uśpią czujność swojej ofiary i przekonają ją do wykonania ich instrukcji, uzyskają dostęp do jej komputera lub prawdziwej bankowości elektronicznej. Wyczyszczą konto, pozyskają dane osobowe, a później wykorzystają je jeszcze w kolejnym przestępstwie.

Ściganie sprawców phishingu rzadko kończy się sukcesem

Ściganie sprawców ataków phishingowych nie należy do najprostszych. Niekiedy możemy spotkać się z komunikatami policji albo którejś z prokuratur o złapaniu oszustów i postawieniu im zarzutów. Nijak nie zniechęca to jednak ich kolegów po fachu.

W tej sytuacji powinniśmy kierować się szczególną ostrożnością przy korzystaniu z internetu i odbieraniu połączeń telefonicznych z nieznanych nam numerów. Pytanie brzmi: co się stanie, jeśli tego nie zrobimy?

Nieautoryzowana transakcja płatnicza — co do zasady odpowiada za nią bank

Na dobrą sprawę odpowiedź już podałem. Przestępcy wyczyszczą nam konto ze zgromadzonych na nim środków. Niekiedy możemy w ten sposób stracić oszczędności całego życia. Dobrym przykładem tak skutecznych ataków phishingowych są przypadki oszustw na fałszywe inwestycje w akcje znanych spółek — jak obiecywany w mediach społecznościowych szybki zysk z inwestycji w akcje Orlenu. Rekordowe straty pojedynczego oszukanego idą w paręset tysięcy złotych.

Pod względem prawnym sprawa jest jednak nieco bardziej skomplikowana. Ustawa o usługach płatniczych chroni konsumentów przed skutkami oszustw w tym sensie, że przerzuca na banki obowiązek zwrotu części skradzionych pieniędzy.

Art. 46 ustawy o usługach płatniczych i obowiązek zwrotu środków

Obowiązek ten wynika z art. 46 ustawy o usługach płatniczych. Najprościej rzecz ujmując, w przypadku stwierdzenia nieautoryzowanej transakcji płatniczej bank musi między innymi przywrócić obciążony rachunek płatniczy do stanu, jakby ta transakcja nigdy nie miała miejsca. Zgłoszona bankowi kradzież pieniędzy z konta bankowego powinna więc co do zasady zakończyć się zwrotem utraconej kwoty.

Naiwność ofiary a odpowiedzialność banku za wyczyszczone konto

Ktoś mógłby w tym momencie stwierdzić, że taka ochrona idzie o krok za daleko. Co w końcu z przypadkami, gdy właściciel obciążonego rachunku w wyniku skrajnej naiwności sam wręczył wszystkie niezbędne dane oszustom?

Załóżmy: podał swoje dane logowania, dał sobie zainstalować na komputerze oprogramowanie umożliwiające zdalny dostęp, a wszystko dlatego, że przysłowiowy nigeryjski książę odezwał się do niego i obiecał mu milion dolarów w sztabkach złota oraz rękę swojej córki za „drobną przysługę”. Wszystko to łamaną polszczyzną z podejrzanie często występującymi rusycyzmami, powoływaniem się na nieistniejące w Polsce przepisy i instytucje oraz zdjęciami polskich polityków, celebrytów i sportowców.

Powyższy przykład może wydać się skrajny, ale przecież wszelkie możliwe organy, instytucje i firmy, pod które podszywają się oszuści, przestrzegają właśnie przed niemalże równie „finezyjnymi” przynętami.

Okazuje się, że naiwność jednak nie popłaca, ponieważ przywołany wyżej art. 46 ustawy o usługach płatniczych zawiera przepis specjalnie na taką okazję.

Rażące niedbalstwo klienta wyłącza odpowiedzialność banku za phishing

Mam na myśli art. 46 ust. 3, który w szczególnych okolicznościach wyklucza odpowiedzialność banku za nieautoryzowaną transakcję na rachunku swojego klienta.

Płatnik odpowiada za nieautoryzowane transakcje płatnicze w pełnej wysokości, jeżeli doprowadził do nich umyślnie albo w wyniku umyślnego lub będącego skutkiem rażącego niedbalstwa naruszenia co najmniej jednego z obowiązków, o których mowa w art. 42.

Art. 42, czyli obowiązki użytkownika instrumentu płatniczego

Art. 42 również jest bardzo ważny, ponieważ to właśnie ten przepis nakłada na nas określone obowiązki przy autoryzowaniu wszelkich płatności. Interesują nas jego dwa pierwsze ustępy:

Użytkownik uprawniony do korzystania z instrumentu płatniczego jest obowiązany:

W celu spełnienia obowiązku, o którym mowa w ust. 1 pkt 1, użytkownik, z chwilą otrzymania instrumentu płatniczego, podejmuje niezbędne środki służące zapobieżeniu naruszeniu indywidualnych danych uwierzytelniających, w szczególności jest obowiązany do przechowywania instrumentu płatniczego z zachowaniem należytej staranności oraz nieudostępniania go osobom nieuprawnionym.

Zasada braku zaufania, czyli jak nie stracić oszczędności życia

Innymi słowy: jeżeli sami przekażemy oszustom dane logowania do konta w banku, to ten nie będzie zobowiązany do zwrócenia nam choćby złotówki. Owszem, w praktyce instytucje państwowe stosują zawężającą wykładnię tego przepisu i potrafią zakwalifikować naprawdę absurdalne przypadki ludzkiej lekkomyślności jako podjęcie niezbędnych środków ostrożności — kradzież pieniędzy przez internet tylko wyjątkowo bywa uznawana za skutek rażącego niedbalstwa ofiary.

Tak naprawdę nikt nie da nam jednak gwarancji, że akurat w naszej sprawie organ nadzoru postanowi doszukać się jakichś wątpliwości, które mógłby tłumaczyć na naszą korzyść.

Wniosek z tego wszystkiego płynie bardzo prosty. W przypadku dostępu do pieniędzy zgromadzonych na naszym koncie w banku należy zastosować zasadę braku zaufania. Naszych danych uwierzytelniających nie powinniśmy przekazywać nikomu, pod żadnym pozorem, choćby ten ktoś twierdził, że jest pracownikiem naszego banku albo samym papieżem. Z bankiem zawsze zdążymy dogadać się później. Lepiej popaść w paranoję, niż stracić oszczędności życia.

Obserwuj nas w Google Discover

Podobają Ci się nasze treści?

Google Discover

Obserwuj